Reino: Time and State

La computación distribuida trata sobre el tiempo y el estado. Es decir, para que más de un componente se comunique, debe compartir el estado, y todo esto requiere tiempo.

La mayoría de programadores antropomorfizan su trabajo. Piensan en un único puesto de control que lleva a cabo todo el programa de igual forma que harían ellos si tuviesen que realizar la tarea ellos mismos. Sin embargo, los equipos modernos cambian entre tareas con gran rapidez y, en una CPU múltiple con varios núcleos, o en los sistemas distribuidos, dos eventos pueden llevarse a cabo a la vez exactamente. Estos defectos hacen que sea urgente que se unan posturas entre el modelo de los programadores sobre cómo un programa se ejecuta y lo que sucede en la realidad. Dichos defectos están relacionados con interacciones inesperadas entre los puestos, los procesos, el tiempo y la información. Estas interacciones se producen a través del estado compartido: semáforos, variables, el sistema de archivos y, básicamente, cualquier cosa que pueda guardar información.

Race Condition: Format Flaw

Java/JSP

Abstract

Los métodos parse() y format() de java.text.Format contienen un error de diseño que puede ocasionar que un usuario vea los datos de otro usuario.

Explanation

Los métodos parse() y format() de java.text.Format contienen una condición de carrera que puede ocasionar que un usuario vea los datos de otro usuario.

Ejemplo 1: El código siguiente muestra cómo se puede manifestar el error de diseño.


public class Common {

    private static SimpleDateFormat dateFormat;
    ...

    public String format(Date date) {
        return dateFormat.format(date);
    }
    ...

    final OtherClass dateFormatAccess=new OtherClass();
    ...

    public void function_running_in_thread1(){
        System.out.println("Time in thread 1 should be 12/31/69 4:00 PM, found: "+ dateFormatAccess.format(new Date(0)));
    }

    public void function_running_in_thread2(){
        System.out.println("Time in thread 2 should be around 12/29/09 6:26 AM, found: "+ dateFormatAccess.format(new Date(System.currentTimeMillis())));
    }
}

Mientras que este código se comporta correctamente en un entorno de usuario único, si dos subprocesos se ejecutan a la vez podrían producir la salida siguiente:

La hora en el subproceso 1 debería ser 31/12/69 4:00 PM, encontrado: 31/12/69 4:00 PM
La hora en el subproceso 2 debería ser 12/29/09 6:26 AM, encontrado: 31/12/69 4:00 PM

En este caso, la fecha desde el primer subproceso se muestra en la salida desde el segundo subproceso debido a una condición de carrera en la implementación de format().

References

[1] Bug 4228335 : SimpleDateFormat is not threadsafe Sun Microsystems

[2] The Java Servlet Specification Sun Microsystems

[3] Standards Mapping - Common Weakness Enumeration CWE ID 362, CWE ID 488

[4] Standards Mapping - Common Weakness Enumeration Top 25 2022 [22] CWE ID 362

[5] Standards Mapping - Common Weakness Enumeration Top 25 2023 [21] CWE ID 362

[6] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001090, CCI-003178

[7] Standards Mapping - General Data Protection Regulation (GDPR) Access Violation

[8] Standards Mapping - NIST Special Publication 800-53 Revision 4 CM-6 Configuration Settings (P1), SA-11 Developer Security Testing and Evaluation (P1), SC-4 Information in Shared Resources (P1)

[9] Standards Mapping - NIST Special Publication 800-53 Revision 5 CM-6 Configuration Settings, SA-11 Developer Testing and Evaluation, SC-4 Information in Shared System Resources

[10] Standards Mapping - OWASP Application Security Verification Standard 4.0 1.11.2 Business Logic Architectural Requirements (L2 L3)

[11] Standards Mapping - OWASP Top 10 2007 A6 Information Leakage and Improper Error Handling

[12] Standards Mapping - OWASP Top 10 2021 A04 Insecure Design

[13] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 Requirement 6.5.6

[14] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 Requirement 6.5.5

[15] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4, Requirement 7.3.2

[16] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective B.3.3 - Terminal Software Attack Mitigation

[17] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective B.3.3 - Terminal Software Attack Mitigation

[18] Standards Mapping - SANS Top 25 2009 Insecure Interaction - CWE ID 362

[19] Standards Mapping - SANS Top 25 2010 Insecure Interaction - CWE ID 362

[20] Standards Mapping - Security Technical Implementation Guide Version 3.1 APP3630.1 CAT II

[21] Standards Mapping - Security Technical Implementation Guide Version 3.4 APP3630.1 CAT II

[22] Standards Mapping - Security Technical Implementation Guide Version 3.5 APP3630.1 CAT II

[23] Standards Mapping - Security Technical Implementation Guide Version 3.6 APP3630.1 CAT II

[24] Standards Mapping - Security Technical Implementation Guide Version 3.7 APP3630.1 CAT II

[25] Standards Mapping - Security Technical Implementation Guide Version 3.9 APP3630.1 CAT II

[26] Standards Mapping - Security Technical Implementation Guide Version 3.10 APP3630.1 CAT II

[27] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[28] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[29] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[30] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[31] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[32] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[33] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[34] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[35] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[36] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[37] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[38] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[39] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[40] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

[41] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-001995 CAT II, APSC-DV-002380 CAT II

desc.structural.java.race_condition_format_flaw